Dịch vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA)

LexData xác định vai trò của doanh nghiệp và trường hợp miễn trước khi lập hồ sơ. Khoản 1 Điều 21 Luật 91/2025/QH15 quy định bên kiểm soát, bên kiểm soát và xử lý lập, lưu trữ và gửi hồ sơ; khoản 3 quy định bên xử lý lập, lưu trữ theo thỏa thuận. Phạm vi hồ sơ và thủ tục nộp cần đối chiếu thêm Điều 19 Nghị định 356/2025/NĐ-CP, không mặc định bên xử lý được miễn nộp. Hồ sơ thuộc diện phải nộp có hạn 60 ngày từ ngày đầu tiên xử lý dữ liệu.

Đây là hai loại hồ sơ khác nhau. Hồ sơ chuyển xuyên biên giới thuộc diện phải nộp có hạn 60 ngày từ lần chuyển đầu theo Điều 20 Luật 91/2025/QH15. Cần kiểm tra ngoại lệ tại khoản 6 Điều 20 và Điều 17 Nghị định 356; trường hợp quản lý nhân sự xuyên biên giới tại điểm d khoản 3 Điều 17 có điều kiện riêng, không phải miễn mọi hoạt động nhân sự.

Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp đủ điều kiện được lựa chọn không thực hiện Điều 21, Điều 22 và khoản 2 Điều 33 của Luật trong 05 năm kể từ 01/01/2026. Doanh nghiệp vừa không thuộc diện ưu đãi này. Hộ kinh doanh và doanh nghiệp siêu nhỏ có chế độ riêng tại khoản 2 Điều 41 Nghị định 356/2025/NĐ-CP. Các diện trên đều có ngoại lệ khi kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm hoặc đạt từ 100.000 chủ thể dữ liệu theo tổng lượng tích lũy đã xử lý. Cần xác định đúng loại hình và hoạt động trước khi áp dụng; các nghĩa vụ bảo vệ dữ liệu khác vẫn phải thực hiện.

Điều 22 Luật 91/2025/QH15 và Điều 20 Nghị định 356 quy định cập nhật theo chu kỳ 06 tháng khi có thay đổi thuộc diện, hoặc cập nhật ngay trong thời hạn 10 ngày với các trường hợp quy định riêng. LexData hỗ trợ phân loại thay đổi, theo dõi mốc thời gian và chuẩn bị hồ sơ cập nhật theo phạm vi hợp đồng.